Оценка эффективности принимаемых мер по обеспечению безопасности

В соответствии с 152-ФЗ «О защите персональных данных», а также приказом ФСТЭК России № 21 в информационной системе допускается использование средств защиты информации (СЗИ), прошедших процедуру оценки соответствия, в случаях, когда применение таких средств необходимо для нейтрализации актуальных угроз безопасности персональных данных.

Процедура оценка соответствия СЗИ в данном случае выступает в качестве альтернативы применения сертифицированных СЗИ, когда подобные СЗИ отсутствуют либо их применение экономически не целесообразно.

В Федеральном законе от 27.12.2002 № 184-ФЗ «О техническом регулировании» оценка соответствия определена как прямое или косвенное определение соблюдения требований, предъявляемых к объекту. В ч. 3 ст. 7 184-ФЗ указано: 

«Оценка соответствия проводится в формах испытания, регистрации, подтверждения соответствия, приемки и ввода в эксплуатацию объекта, строительство которого закончено, и в иной форме.». В случае с применением СЗИ рассматриваются следующие формы оценки соответствия: испытания, приемка и иная форма. Конкретных требований к данным формам оценки соответствия закон не определяет.

Согласно п.28 Требований по обеспечению безопасности значимых объектов критической информационной инфраструктуры (КИИ) (утверждены приказом ФСТЭК России от 25 декабря 2017 г. № 239) Российской Федерации для обеспечения безопасности объектов КИИ допускается применение СЗИ, прошедших оценку соответствия требованиям по безопасности в форме испытаний или приемки:

«…Средства защиты информации, прошедшие оценку соответствия в форме обязательной сертификации, применяются в случаях, установленных законодательством Российской Федерации, а также в случае принятия решения субъектом критической информационной инфраструктуры.

В иных случаях применяются средства защиты информации, прошедшие оценку соответствия в форме испытаний или приемки, которые проводятся субъектами критической информационной инфраструктуры самостоятельно или с привлечением организаций, имеющих в соответствии с законодательством Российской Федерации лицензии на деятельность в области защиты информации…».

ООО «НАЦ» имеет все необходимые лицензии для проведения процедуры оценки соответствия средств защиты информации. 

В состав услуги входит:

• Разработка программы и методик приемо-сдаточных испытаний;
• Проведение процедуры оценки соответствия СЗИ в форме приемо-сдаточных испытаний;
• Разработка протокола по итогам проведённой процедуры оценки соответствия СЗИ, дающего возможность успешного прохождения оценки эффективности (аттестации) ИСПДн и КИИ в дальнейшем.